بلاگ/نحوه ساخت گواهی SSL وایلد کارد Let’s Encrypt با استفاده از Certbot
بهروز شده
نحوه ساخت گواهی SSL وایلد کارد Let’s Encrypt با استفاده از Certbot
یک گواهی وایلدکارد در واقع، یک گواهی SSL است که میتواند امنیت هر تعداد از سابدامین یا زیردامنهها را با یک گواهی پوشش دهد. کاربرد این نوع گواهیها در زمانی است که چند سابدامین در اختیار داشته باشید و به دلایلی، نخواهید که برا هر کدام از آنها تنظیمات گواهی SSL را به صورت جداگانه انجام...
1400/05/205963 بازدید
یک گواهی وایلدکارد در واقع، یک گواهی SSL است که میتواند امنیت هر تعداد از سابدامین یا زیردامنهها را با یک گواهی پوشش دهد. کاربرد این نوع گواهیها در زمانی است که چند سابدامین در اختیار داشته باشید و به دلایلی، نخواهید که برا هر کدام از آنها تنظیمات گواهی SSL را به صورت جداگانه انجام دهید.
Let’s Encrypt یک مرجع گواهی SSL است گواهیها را به صورت رایگان از طریق یک API خودکار در اختیار قرار میدهد. در این آموزش به تولید گواهی وایلدکار Let’s Encrypt با طی مراحل زیر خواهیم پرداخت:
اطمینان از تنظیمات صحیح DNS
نصب پلاگینهای موردنیاز Certbot برای تکمیل چالشهای DNS
تنظیم Certbot برای دسترسی به پروایدر DNS
استخراج گواهیها
این اطلاعات برای هر نوع توزیع لینوکس و هر نرمافزار سروری مفید خواهند بود. با این وجود، ممکن است در برخی موارد به برخی راهنماهای ویژه هر توزیع یا نرمافزار احتیاج پیدا کنید.
پیشنیازها
در ادامه این مطلب، فرض بر این است که شما موارد زیر را در اختیار دارید.
نصب نسخه 22.0 یا بالاتر از ابزار Certbot. میتوانید به مطالب قبلی ما در این زمینه مراجعه کنید و اطلاعات بیشتری کسب کنید.
یک نام دامین و یک پروایدر DNS که توسط Certbot پشتیبانی شود. در اینجا میتوانید لیست از پروایدرهای پشتیبانیشونده توسط پلاگین را مشاهده کنید.
با تنظیم و آزمایش رکوردهای DNS کار را آغاز میکنیم.
گام ۱) تنظیم وایلدکارد DNS
قبل از اینکه گواهی وایلدکارد SSL خود را استخراج کنیم، باید ابتدا مطمئن شویم که سرور ما بهخوبی به درخواستهای سابدامینهای چندگانه پاسخ میدهد. این موضوع با تنظیم یک رکورد وایلدکارد DNS محقق خواهد شد.
php
1*.example.com. 3600 IN A 203.0.113.1
علامت وایلدکارد * به عنوان ورودی برای هر عنوان هاستی محسوب میشود. این رکورد نمونه DNS با آدرسهای one.example.com و two.example.com مطابقت خواهد داشت. بنابراین، مطابقتی با آدرسهای نمونه example.com یا one.two.example.com نخواهد بود؛ چرا که وایلدکارد * تنها به یک سطح از عناوین هاست اختصاص یافته است.
به علاوه، یک رکورد وایلدکارد DNS تنها میتواند یک کاراکتر وایلدکارد داشته باشد. بر این اساس، اجازه استفاده از مواردی مانند *.*.example.com را نخواهیم داشت.
در همین حال، برای وارد کردن موارد صحیح DNS میبایست به راهنمای پروایدر خودتان مراجعه کنید. احتمالاً نیاز به اضافهکردن رکورد وایلدکارد A یا CNAME قبل از ادامه کار خواهید داشت.
برای تست عملکرد وایلدکار DNS میتوانید از فرمان host با الگوی زیر استفاده کنید.
php
1host one.example.com
حتماً دقت کنید که عنوان دامین یا هاست خود را در فرمان بالا جایگزین کنید. همچنین به خاطر داشته باشید که گاهی ممکن است انتشار رکوردهای DNS در سیستم به زمان نیاز داشته باشد. در صورتی که پس از اضافهکردن رکورد DNS، با پیغام خطا روبرو شدید، چند دقیقه صبر کنید و دوباره امتحان کنید.
وقتی عنوان هاست ورودی مورد قبول واقع شد، با خروجیای شبیه به زیر روبرو میشوید.
php
1one.example.com has address 203.0.113.1
در غیر این صورت، یک پیغام خطای NXDOMAIN خواهید دید.
php
1Host one.example.com not found: 3(NXDOMAIN)
وقتی از عملکرد سابدامینها در سرور اطمینان پیدا کردید، میتوانید به مرحله بعد بروید. جایی به تنظیم Certbot برای ارتباط با پروایدر DNS خواهیم پرداخت.
گام ۲) نصب پلاگین Certbot DNS
قبل از تولید گواهیها، Let’s Encrypt بررسیهای لازم را برای اطمینان از کنترل «هاستهای مورد درخواست» انجام میدهد. در مورد گواهی وایلدکارد، باید ثابت کنیم که کنترل کل دامین را در اختیار داریم. این کار از طریق پاسخ به چالش مبتنی بر DNS صورت میگیرد. جایی که Certbot با ایجاد یک رکورد DNS ویژه در دامین هدف، به این چالش پاسخ میدهد. در نتیجه، سرورهای Let’s Encrypt این رکورد را قبل از تولید گواهی، تأیید میکنند.
به منظور اتصال به پروایدر DND، ابزار Certbot به یک پلاگین احتیاج دارد. در لیست پلاگینهای DNS برای Certbot میتوانید پلاگین مناسب برای پروایدر خود را پیدا کنید. قالب فرمان نصب به صورت زیر خواهد بود.
در لینوکس CentOS و سایر توزیعهای مبتنی بر RPM، فرمان نصب به صورت dnf است.
php
1dnf install python3-certbot-dns-digitalocean
و یا با استفاده از yum:
php
1yum install python3-certbot-dns-digitalocean
شاید هم بخواهید یک منابع بستههای اضافی را در این توزیعها نصب کنید تا به بستههای پلاگین Certbot دسترسی داشته باشید.
برای اطمینان از صحت نصب پلاگین، میتوانید از لیست پلاگینهای کنونی Certbot خروجی بگیرید.
در خروجی بالا، پلاگین dns-digitalocean در ابتدای لیست و سپس پلاگینهای standalone و webroot آمدهاند.
وقتی از نصب پلاگین موردنظر مطمئن شدیم، نوبت به مرحله بعدی و تنظیم آن میرسد.
گام ۳) تنظیم پلاگین Certbot
Certbot نیاز به ارتباط با پروایدر DNS و ایجاد رکوردهای DNS از طرف شما دارد. بنابراین، باید مجوّز لازم برای این کار را داشته باشد. این به معنای دریافت یک توکن API یا دیگر اطلاعات تأییدیه از پروایدر DNS و قرار دادن آن در یک فایل اعتباری امنیتی به منظور استفاده Certbot است.
هر کدام از پروایدرها دارای فرآیند مخصوص تأییدیه مخصوص به خود هستند و بر این اساس، حتماً میبایستی راهنمای مربوط به پلاگین Certbot DNS خود را مطالعه کنید. برای مثال در اینجا، همچنان از پلاگین dns-digitalocean استفاده میکنیم و اعتبار امنیتی خود را در فایل ~/certbot-creds.ini ذخیره میکنیم.
این فایل را با کمک ویرایشگر متنی nano ایجاد میکنیم.
php
1nano ~/certbot-creds.ini
در نتیجه، یک فایل متنی خالی برای ما باز میشود. در اینجا باید بر اساس دستورالعملهای پروایدر، اطلاعات موردنیاز را وارد نمایید. به عنوان نمونه، در اینجا به یک توکن API احتیاج داریم و بنابراین، فایل ظاهری شبیه به زیر خواهد داشت.
حتماً توکن نمونه را با اطلاعات خودتان جایگزین کنید.
فایل را ذخیره کرده و از آن خارج شوید. در صورتی که از nano استفاده میکنید، میتوانید ابتدا کلیدهای CTRL+O، ENTER و سپس CTRL+X را فشار دهید.
پس از ایجاد فایل، باید مجوّزهای آن را محدود کنید تا راز شما پیش کسی فاش نشود. فرمان chmod زیر باعث میشود که تنها کاربری شما به خواندن و نوشتن این فایل دسترسی داشته باشد.
php
1chmod 600 ~/certbot-creds.ini
پس از تنظیم فایل اعتبار امنیتی، برای درخواست گواهی وایلدکارد آماده خواهید بود.
گام ۴) استخراج گواهی
در این مقطع، استخراج گواهی وایلدکارد Let’s Encrypt همانند گواهیهای «معمولی» خواهد بود. تغییرات عمده این فرآیند شامل مشخص کردن چالش مبتنی بر DNS و ارجاع به فایل اعتبار امنیتی DNS خواهند بود. به علاوه، از یک دامین وایلدکارد با گزینه -d استفاده خواهیم کرد.
به خاطر داشته باشید که امکان استفاده از پلاگینهای --nginx یا --apache در اینجا وجود ندارد و نمیتوانید این سرورها را به صورت اتوماتیک با گواهی وایلدکارد تنظیم کنید. به جای آن، از فرمان certonly استفاده میکنیم که صرفاً گواهی را دریافت خواهد کرد.
با اجرای فرمان بالا، ممکن است با برخی پرسشها برای جوابدادن روبرو شوید. این در صورتی است که برای اولین بار از Certbot استفاده کنید. پس از جوابدادن به این سؤالها، Cerbot چالش را انجام میدهد، سرورهای Let’s Encrypt آن را تأیید میکنند و گواهی وایلدکارد جدید شما دانلود و در مسیر /etc/letsencrypt/ ذخیره میگردد. در نتیجه، باید خروجیای مشابه زیر مشاهده کنید.
php
1IMPORTANT NOTES:23- Congratulations! Your certificate and chain have been saved at:45/etc/letsencrypt/live/example.com/fullchain.pem67Your key file has been saved at:89/etc/letsencrypt/live/example.com/privkey.pem1011Your cert will expire on 2021-09-27. To obtain a new or tweaked1213version of this certificate in the future, simply run certbot1415again. To non-interactively renew *all* of your certificates, run1617"certbot renew"1819- If you like Certbot, please consider supporting our work by:2021Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate2223Donating to EFF: https://eff.org/donate-le
در نتیجه، یک گواهی وایلدکارد SSL برای شما تولید شده است. گام بعدی شما، تنظیم اپلیکیشن سرور برای استفاده از آن خواهد بود.
جمعبندی
در این آموزش، ابزار Certbot را تنظیم کردیم و و نحوه دریافت گواهی SSL وایلدکارد را از مرجع گواهی Let’s Encrypt نشان دادیم. حالا برای تنظیم نرمافزار سرور به منظور استفاده از این گواهی امنیت ارتباطی آماده خواهید بود.
